CVE-2026-88410: graph.UDF в FalkorDB не зарегистрирован как write-команда

В начале 2026 года в открытых источниках появилась информация об уязвимости CVE-2026-88410, затрагивающей графовый модуль FalkorDB, работающий поверх Redis. Проблема связана с некорректной классификацией одной из команд модуля, что может привести к неожиданному поведению приложения и, как следствие, к нарушению целостности данных или логики его работы.

Подробности

Уязвимость затрагивает FalkorDB (модуль для Redis) в диапазоне версий от 4.20.1 до 4.20.4 включительно. Суть проблемы заключается в том, что команда graph.UDF не зарегистрирована как write-команда (команда записи). Redis и построенные на нём модули используют механизм флагов команд для определения того, изменяет ли операция состояние хранилища. Если команда модифицирует данные, но не помечена как write, это может привести к целому ряду негативных последствий: некорректной обработке команды в режимах репликации, нарушению логики работы в кластерных конфигурациях, ошибкам при выполнении в режиме «только для чтения» (read-only replica) и к неожиданному поведению на уровне приложения в целом. Согласно записи CVE, команда graph.UDF позволяет работать с пользовательскими функциями графа, и её некорректная классификация создаёт предпосылки для непредвиденного поведения системы. Уязвимости присвоен базовый балл CVSS 7.1, что соответствует высокому уровню опасности. Точные сценарии эксплуатации и конкретные последствия в записи CVE не детализированы, однако сама природа проблемы — несоответствие флага модификации данных — традиционно считается существенным риском для целостности и предсказуемости работы СУБД. Следует отметить, что в официальной записи CVE поля Affected (затронутые продукты) и данные о производителе указаны как n/a, поэтому приведённая информация о версиях базируется непосредственно на тексте описания уязвимости.

Что делать

Основная рекомендация — обновить FalkorDB до версии, в которой проблема устранена. Поскольку уязвимость затрагивает диапазон 4.20.1–4.20.4, следует проверить актуальные релизы FalkorDB и при наличии исправленной версии выполнить обновление модуля. Перед обновлением необходимо убедиться в совместимости новой версии с используемой версией Redis и с прикладной логикой. Если обновление невозможно в кратчайшие сроки, целесообразно применить компенсирующие меры: ограничить доступ к команде graph.UDF на уровне ACL Redis, разрешив её выполнение только доверенным пользователям и сервисам; по возможности исключить выполнение этой команды на репликах и в read-only конфигурациях; усилить мониторинг и логирование вызовов graph.UDF, чтобы своевременно выявлять аномальную активность. Также рекомендуется провести ревизию конфигурации кластера и репликации: убедиться, что операции, изменяющие состояние графа, корректно доходят до всех узлов, и что рассинхронизация данных не возникает по причине некорректной обработки команды.

Итог

CVE-2026-88410 — уязвимость высокого уровня опасности в модуле FalkorDB для Redis (версии 4.20.1–4.20.4), вызванная отсутствием регистрации команды graph.UDF как write-команды. Проблема способна приводить к неожиданному поведению приложения и рискам для целостности данных. Ключевая мера защиты — своевременное обновление FalkorDB, а до его проведения — ограничение доступа к команде и усиленный мониторинг.

Источник: CVE Project (cvelistV5)